Roubaram a sua identidade online? O que fazer nas primeiras 24h

Um código de confirmação que não pediu. Um email a avisar que a palavra-passe mudou. Uma compra de 300 euros que não fez. Perante um roubo de identidade online, a ordem certa é travar o dinheiro, recuperar o email, apresentar queixa e avisar o Banco de Portugal e quase tudo cabe nas primeiras 24 horas.

O problema não para de crescer. Segundo o Gabinete Cibercrime do Ministério Público, as denúncias de cibercrime aumentam de forma regular e persistente desde 2016, e o phishing (mensagens falsas para roubar dados de acesso) está entre os esquemas mais denunciados.

A rapidez tem efeito direto na carteira. Por regra, a lei limita a 50 euros as perdas do cliente com movimentos não autorizados feitos antes do aviso ao banco. Depois de comunicar a fraude, salvo atuação fraudulenta do próprio cliente, o prejuízo deixa de ser seu.

O que fazer nas primeiras 24 horas?

Perante a suspeita de roubo de identidade, a sequência que limita estragos é esta:

1. Ligue ao banco e bloqueie cartões e acessos ao homebanking;
2. Recupere o email principal e mude a palavra-passe a partir de um dispositivo seguro;
3. Altere as credenciais das restantes contas e ative a autenticação de dois fatores;
4. Guarde provas, como capturas de ecrã, mensagens, extratos e números de telefone;
5. Apresente queixa às autoridades;
6. Comunique a situação ao Banco de Portugal, anexando a queixa.

Os dois primeiros passos fazem-se na primeira hora. Os restantes cabem, sem pressa excessiva, no mesmo dia.

O Gabinete Cibercrime do Ministério Público recebeu 4497 denúncias em 2025, mais 13,16% do que em 2024. O phishing motivou 695 queixas, uma subida de 42,15% num ano. Os dados são atualizados anualmente pelo Ministério Público.

Bloquear cartões e contestar movimentos no banco

O primeiro telefonema é para o banco. A maioria tem uma linha própria para bloquear cartões e muitos permitem fazê-lo na aplicação. Em alternativa, a SIBS bloqueia cartões através do 808 201 251, ou do +351 217 918 780 a partir do estrangeiro, segundo o guia oficial do gov.pt.

No mesmo contacto, convém pedir a suspensão do acesso ao homebanking e às aplicações de pagamento associadas à conta. Depois, rever os movimentos das últimas horas e contestar por escrito cada operação que não reconhece.

As regras estão no Decreto-Lei n.º 91/2018. O banco tem de reembolsar a operação não autorizada até ao final do primeiro dia útil seguinte ao aviso. Só pode adiar se tiver motivos razoáveis para suspeitar de fraude do cliente e, nesse caso, tem de comunicar esses motivos por escrito às autoridades.

O limite de 50 euros cai se o banco provar negligência grosseira, uma avaliação feita caso a caso que pode incluir, por exemplo, a partilha de códigos de autenticação com o burlão. Aí, a perda pode chegar ao saldo disponível ou ao limite de crédito da conta.

O prazo para contestar vai até 13 meses após o débito. Mas a lei exige que a comunicação seja feita sem demora, logo que a operação é detetada. Abra agora a aplicação do banco e reveja os movimentos dos últimos 30 dias, um a um.

Recuperar contas e trancar a identidade digital

Com o dinheiro protegido, a prioridade passa para o email. É por ali que chegam os pedidos de recuperação de palavra-passe de quase todos os serviços, pois, normalmente, quem controla o email consegue entrar no resto.

Mude primeiro a palavra-passe do email principal e só depois as das redes sociais, lojas online, Portal das Finanças e Segurança Social Direta. Faça-o a partir de um dispositivo diferente do que pode estar comprometido, com palavras-passe novas e distintas para cada serviço.

Se perdeu o acesso a uma conta, use apenas o processo de recuperação oficial da plataforma, nunca links recebidos por mensagem. Nas definições de segurança, termine as sessões abertas noutros dispositivos e confirme se o email ou o telemóvel de recuperação foram alterados.

Já agora, verifique no Portal das Finanças e na Segurança Social Direta se o IBAN registado continua a ser o seu. Se suspeitar que a Chave Móvel Digital foi usada por terceiros, pode cancelá-la no gov.pt: fica inativa de imediato e só o titular o pode fazer.

Por fim, avise os contactos. Uma conta de WhatsApp ou de rede social nas mãos de terceiros costuma servir para pedir dinheiro a familiares, por exemplo, o esquema “olá mãe, olá pai” surge entre as categorias mais denunciadas ao Ministério Público. Para perceber como estes ataques começam, veja como se proteger do roubo de identidade na internet.

Queixa, Banco de Portugal e Cartão de Cidadão

Antes de apresentar queixa, reúna as provas: capturas de ecrã de mensagens e perfis falsos, emails, números de telefone, extratos e a data e hora de cada ocorrência. Não apague nada, mesmo que a vontade seja essa.

A queixa pode ser feita numa esquadra da PSP, num posto da GNR ou online, no Sistema de Queixa Eletrónica. Entre os crimes aceites estão a burla e o uso de documento de identificação alheio, com autenticação por Cartão de Cidadão ou Chave Móvel Digital, entre outros métodos.

Para mais detalhe sobre cada canal, consulte o guia sobre como apresentar queixa por burla eletrónica. O Gabinete Cibercrime do Ministério Público também recebe denúncias pelo email [email protected], mas este canal não substitui a queixa formal, só as que reúnem condições seguem para inquérito.

A cópia da queixa serve para o passo seguinte. O Banco de Portugal tem um formulário para comunicar extravio, furto, falsificação ou utilização ilícita de documentos de identificação. O serviço é gratuito e o aviso é difundido pelo sistema bancário, o que dificulta a abertura de contas ou pedidos de crédito em seu nome. É obrigatório anexar o auto ou a declaração da polícia.

Este formulário não abrange cartões bancários, que têm de ser cancelados junto de quem os emitiu. Há outros serviços gratuitos do Banco de Portugal para clientes bancários úteis nesta fase.

Se o Cartão de Cidadão foi roubado ou perdido, cancele-o no gov.pt, na aplicação gov.pt ou pela Linha Cartão de Cidadão (210 990 111), disponível 24 horas por dia. O prazo indicado é de 10 dias, mas não há razão para esperar.

Depois das 24 horas vigie o que fica em seu nome

A urgência passa, a vigilância não. Um roubo de identidade online pode ter efeitos meses depois. Nas semanas seguintes, peça o Mapa de Responsabilidades de Crédito no site do Banco de Portugal. É gratuito e mostra os contratos de crédito acima de 50 euros registados em seu nome, incluindo aqueles em que figura como fiador. Um empréstimo que não reconhece é sinal de alarme imediato.

Repita a consulta durante alguns meses e reveja os extratos com atenção redobrada. Se surgir um contrato que não assinou, contacte de imediato a instituição em causa e junte a queixa já apresentada.

Não espere resolver tudo num dia: limpar o nome pode demorar semanas. Mas o essencial cabe numa manhã, um telefonema ao banco, uma palavra-passe nova no email, uma queixa e um formulário. É isso que separa um susto de um prejuízo.

Mantenha-se um passo à frente das burlas. Subscreva a Newsletter Ekonomista e perceba as mudanças que afetam o seu orçamento e as estratégias para proteger o seu dinheiro.